ペネトレーションテストは、合意した攻撃シナリオで対策の有効性を検証します。この記事では、何を評価し、結果をどう改善につなげるかに注目します。基本定義や事前情報による分類と合わせて理解しましょう。
シナリオは具体的な評価目標へ結び付ける
例えば「限定権限の利用者から、定めた重要情報へアクセスできてしまうか」「外部から公開システムへ入り、合意した内部範囲へ到達できるか」などです。実データの窃取やサービス停止を必ず実行する、という意味ではありません。影響の確認方法も事前に決めます。
| 評価する点 | 結果から考えること |
|---|---|
| 入口となる弱点 | 修正や設定見直しが必要か |
| 権限・経路の組合せ | 最小権限やネットワーク分割に不足がないか |
| 検知・対応 | 範囲に含めた場合、監視や連絡が想定どおり働いたか |
| 影響 | どの業務や情報へ、どんな条件で到達し得るか |
実施前に条件を明確にする
対象システムと除外対象、時間帯、利用するアカウント、許される操作、緊急連絡先、停止条件、記録の扱いを合意します。ROE（Rules of Engagement）は実施時の指針と制約を明確にするものです。外部サービスや委託先の範囲は、関係者の権限と許可を確認します。
脆弱性診断と補い合う
診断は弱点の発見・評価、侵入テストはシナリオに沿った悪用可能性や影響の確認に重点があります。診断にも手動の検証が含まれ、侵入テストの方が常に全範囲を詳しく調べるわけではありません。網羅性、目標、費用、影響、時間を考えて組み合わせます。
報告書から対策と再確認へ
- 対象・前提・制限を確認する。
- 実証した事実と、未検証の可能性を区別する。
- 業務への影響に基づいて対策の優先度を付ける。
- 担当と期限を決め、修正後に必要な再テストを行う。
実施して終わりではなく、同じ種類の弱点が別の箇所にないかも見直します。結果の取扱いと保存範囲にも配慮します。
確認問題：攻撃シナリオの目標達成を確認するには、必ず実データを外へ持ち出す必要がある？
ありません。対象と確認方法、証拠の扱いを事前に合意し、影響を管理した検証を行います。
noteで攻撃と防御の対応関係を復習
評価の目的を理解したら、情報セキュリティ教材で攻撃の仕組みと対策を整理しましょう。どの対策が何を防ぎ、どんな条件で限界があるかを説明する練習につなげられます。
コメント